广域网中的PPP协议-PPP协议的验证问题

1、广域网中的PPP协议：PPP协议的验证问题导语：下面小编讲给大家对于广域网中的PPP协议：PPP协议的验证问题进行解释希望可以帮助到有需要的朋友们一、协议介绍PPP（Point-to-Point Protocol，点对点协议）是一种点对点的链路层协议。具体位置是TCP/IP协议栈的网络接口层，OSI参考模型的数据链路层，主要被设计用于在支持全双工的同异步链路上进行点到点之间的数据传输。PPP定义了一整套协议，包括：链路控制协议（Link Control Protocol，LCP）：用来建立、拆除和监控数据链路。网络控制协议（Network Control Protocol，NCP）：用来协商在

2、数据链路上所传输的网络层报文的一些属性和类型。认证协议：用来对用户进行认证，包括PAP（Password Authentication Protocol，密码认证协议）、CHAP（Challenge Handshake Authentication Protocol，质询握手认证协议）、MSCHAP（Microsoft CHAP，微软CHAP协议）和MSCHAPv2（微软CHAP协议版本2）二、关于LCP对于第一个LCP协议，通常我们会认为本层更多用来帮助物理层协商参数信息，确保物理层能够正常UP，一般协商信息包括：链路两端的速率值，链路两端双工模式，链路两端的MTU值等信息，如果双方保持一致

3、，则LCP层会提示UP。H3Cdis int s1/0Serial1/0Current state: UPLine protocol state: UPDescription: Serial1/0 InterfaceBandwidth: 64 kbpsMaximum transmission unit: 1500Hold timer: 10 seconds, retry times: 5Internet protocol processing: DisabledLink layer protocol: PPPLCP: openedOutput queue - Urgent queuing: S

4、ize/Length/Discards 0/100/0Output queue - Protocol queuing: Size/Length/Discards 0/500/0Output queue - FIFO queuing: Size/Length/Discards 0/75/0Last link flapping: 0 hours 0 minutes 11 secondsLast clearing of counters: Never三、关于NCP而对于NCP协议，更多用来协商链路两端的网络层信息，可以同时支持多种网络层协议。还可以支持对网络层的地址进行协商，支持IP地址的远程分配，

5、能满足拨号线路的需求。NCP支持IPCP协商，IPCP协商主要包括双方的IP地址，通过NCP协商来选择和配置一个网络层协议。只有相应的网络层协议协商成功后，该网络层协议才可以通过这条PPP链路发送信息。H3Cdis int s1/0Serial1/0Current state: UPLine protocol state: UPDescription: Serial1/0 InterfaceBandwidth: 64 kbpsMaximum transmission unit: 1500Hold timer: 10 seconds, retry times: 5Internet address

6、: 20.1.1.1/24 (primary)Link layer protocol: PPPLCP: opened, IPCP: openedOutput queue - Urgent queuing: Size/Length/Discards 0/100/0Output queue - Protocol queuing: Size/Length/Discards 0/500/0Output queue - FIFO queuing: Size/Length/Discards 0/75/0Last link flapping: 0 hours 0 minutes 7 secondsLast

7、clearing of counters: Never四、关于验证对于PPP的认证协议，主要分为两种：PAP和CHAP。PAP验证为两次握手验证，过程如下：1、被验证方以明文发送用户名和密码到主验证方。2、主验证方核实用户名和密码，如果此用户合法且密码正确，则会给对端发送ACK消息，通告对端验证通过，允许进入下一阶段；如果用户名或密码不正确，则发送NAK消息，通告对端验证失败。R1：interface Serial1/0ppp authentication-mode pap/决定本设备是主验证方local-user r2 class networkpassword cipher $c$3$Nj

8、eGKxWsW899suZj5/ag0fwYrMFHGQ=/配置的密码会以密文方式显示service-type pppauthorization-attribute user-role network-operatorR2：interface Serial1/0ppp pap local-user r2 password cipher $c$3$ScfglgMP2ZisupAJs2ct54IB7fbcVQ=关于PAP验证的数据包及状态切换详细信息：debugging ppp pap packetr1d%Nov 20 10:19:42:313 2017 r1 IFNET/3/PHY_UPDOWN

9、: Physical state on the interface Serial1/0 changed to up.*Nov 20 10:19:42:313 2017 r1 PPP/7/PAP_EVENT_0:PPP Event:Ser1/0(4) PAP Initial EventState Initial*Nov 20 10:19:42:313 2017 r1 PPP/7/PAP_EVENT_0:PPP Event:Ser1/0(4) PAP Server Lower Up EventState Initial*Nov 20 10:19:42:314 2017 r1 PPP/7/PAP_S

10、TATE_0:PPP State Change:Ser1/0(4) PAP: Initial - ServerListen*Nov 20 10:19:42:314 2017 r1 PPP/7/PAP_PACKET_0:PPP Packet:Ser1/0(4) Input PAP(c023) Packet, PktLen 15State ServerListen, code Request(01), id 1, Len 11Host Len: 2 Name:r2Pwd Len: * Pwd :*Nov 20 10:19:42:314 2017 r1 PPP/7/PAP_EVENT_0:PPP E

11、vent:Ser1/0(4) PAP Receive Request EventState ServerListen*Nov 20 10:19:42:314 2017 r1 PPP/7/PAP_STATE_0:PPP State Change:Ser1/0(4) PAP: ServerListen - WaitAAA*Nov 20 10:19:42:315 2017 r1 PPP/7/PAP_EVENT_0:PPP Event:Ser1/0(4) PAP Receive AAA Result EventState WaitAAA*Nov 20 10:19:42:315 2017 r1 PPP/

12、7/PAP_PACKET_0:PPP Packet:Ser1/0(4) Output PAP(c023) Packet, PktLen 36State WaitAAA, code Ack(02), id 1, Len 32Msg Len: 27 Msg :Welcome to use this device.*Nov 20 10:19:42:315 2017 r1 PPP/7/PAP_STATE_0:PPP State Change:Ser1/0(4) PAP: WaitAAA -ServerSuccess%Nov 20 10:19:42:316 2017 r1 IFNET/5/LINK_UP

13、DOWN: Line protocol state on the interface Serial1/0 changed to up.关于PPP的CHAP验证：CHAP验证为三次握手过程，验证过程如下：1、Challenge:主验证方主动发起验证请求，主验证方向被验证方发送一个随机产生的数值，并同时将本端的用户名一起发送给被验证方。2、Response：被验证方接收到主验证方的验证请求后，检查本地密码，如果本端接口上配置了默认的CHAP密码，则被验证方选用此密码；如果没有配置默认的CHAP密码，则被验证方根据此报文中主验证方的用户名在本端的用户表中查找该用户对应的密码，并选用找到的密码，随后，

14、被验证方利用MD5算法对报文ID、密码和随机数生成一个摘要，并将此摘要和自己的用户名发回主验证方。3、Acknowledge or Not Acknowledge：主验证方用MD5算法对报文ID、本地保存的被验证方密码和原随机数生成一个摘要，并与收到的摘要值进行比较。如果相同则向被验证方发送Acknowledge消息声明验证通过；如果不同则验证不通过，向被验证方发送NotAcknowledge。第一种方式，被验证方接口下有密码R1interface Serial1/0ppp authentication-mode chaplocal-user r2 class networkpassword

15、cipher $c$3$NjeGKxWsW899suZj5/ag0fwYrMFHGQ=service-type pppauthorization-attribute user-role network-operatorR2interface Serial1/0ppp chap password cipher $c$3$w3LJpZ/mGAbVOvv+1AvJxSPBXIySdw=ppp chap user r2第二种方式，被验证方接口下没有密码R1interface Serial1/0ppp authentication-mode chapppp chap user r1local-user

16、r2 class networkpassword cipher $c$3$NjeGKxWsW899suZj5/ag0fwYrMFHGQ=service-type pppauthorization-attribute user-role network-operatorR2interface Serial1/0ppp chap user r2local-user r1 class networkpassword cipher $c$3$NjeGKxWsW899suZj5/ag0fwYrMFHGQ=service-type pppauthorization-attribute user-role

17、network-operatorPAP和CHAP都支持双向验证，但是PAP明文发送密码，所以一般建议配置CHAP的双向CHAP验证：R1interface Serial1/0ppp authentication-mode chap/双方设备在接口都设置验证方式是chap验证，执行双向验证ppp chap user r1local-user r2 class networkpassword cipher $c$3$NjeGKxWsW899suZj5/ag0fwYrMFHGQ=service-type pppauthorization-attribute user-role network-operatorR2interface Serial1/0ppp authentication-mode chapppp chap user r2local-user r1 class networkpassword cipher $c$3$NjeGKxWsW899suZj5/ag0fwYrMFHGQ=service-type pppauthorization-attribute user-role network-operator南京建策科技股份有限公司于2004年成立，是IT教育培训中心。建策科技建立了完整的建策职业教育体系，致力于搭建为高校